电信光猫UPnP在哪里设置？开了自动端口映射，游戏和下载还是NAT3，先分清这台猫干不干活

上个月帮邻居老周看PS5联机，他一句话把我问住了：路由器后台的UPnP明明开着，主机也重启了，怎么测出来还是NAT3？我坐到他家弱电箱前一看，电信那台天翼网关还在自己拨号，路由器又分了一层内网。他那个UPnP开是开了，可惜开在了内层门上，外头那扇还关着，游戏主机递出去的“开门条子”根本到不了公网。

这类情况我今年碰到不止一次。电信光猫里确实有UPnP设置，但能不能碰、该不该碰，得先看这台猫到底干不干活。别一上来就进192.168.2.1乱点，方向错了，开关开得再漂亮也没用。这篇就按我踩过的几台天翼网关，把路径、权限和“开了还没用”的排查顺序一次说清楚。

先说结论：光猫UPnP只对“光猫拨号”负责，桥接后它基本成了摆设

电信光猫出厂多数是路由模式，拨号这活是光猫在干，公网IP挂在光猫WAN口上。你家里再挂一台路由器，光猫给路由器发个192.168.2.x的内网地址，路由器又给手机、电脑、游戏机发192.168.x.x。外面要进来，得先过光猫那道门，再过路由器那道门，这就是很多人口中的两层NAT。

UPnP有个死规矩：它只跟“直连那一跳”的设备打招呼。软件发起UPnP申请时，只能把命令递给它直接连着的那台路由器。光猫拨号、路由器挂在下面的家庭里，主机直连的是路由器，所以UPnP默认只在内层路由器上开。内层门开了，外层光猫的门还是关着，外面照样进不来，NAT3也就不会自己消失。

反过来，如果光猫已经改桥接，拨号和公网IP都交给你自己的路由器，那光猫这台机器基本退到“光电转换”的位置，它后台里就算还留个UPnP开关，点不点都影响不大。这时候你该进的是路由器后台，不是192.168.2.1。

判断自己属于哪一种很简单：进光猫后台看WAN连接信息，那条带INTERNET字样的连接如果是R，多半是路由模式；如果自己的路由器WAN口拿到公网地址，或者光猫那页显示桥接，就按桥接算。菜单看不懂不要紧，192.168.2.1后台菜单地图我拆过一遍，先认清楚状态、网络、应用三块在哪，回来对号入座会快很多。

192.168.2.1里的UPnP到底藏在哪：我翻了普通账号和超管两遍

多数天翼网关的UPnP不在首页，也不在WLAN里，它住“应用”下面。路径看着就三段：浏览器输192.168.2.1登录，左侧菜单找应用，应用里找UPnP设置，勾选启用后保存。华为HS8145V5那台是这样；中兴F7015T差不多也在应用里，个别固件会并进“高级NAT配置”附近；TEWA那几款有时把“应用”叫“日常应用”，但认准UPnP四个字母就不会跑太远。

坑点不在路径，在权限。用光猫背面贴纸那个useradmin账号进去，很多机器压根不显示“应用”，或者显示出来点不动。我在一台天翼网关4.0上试过，普通账号菜单干净得可怜，只有状态、网络、WLAN、安全、管理，翻到底也没有UPnP。换telecomadmin超管重新登录，左边菜单才多出应用那一块。

所以你要是找到路径却发现没有，先别怀疑固件坏了，十有八九是账号权限被电信裁掉了。想要telecomadmin密码，正路是装维师傅、10000号和配置文件三条，话术怎么讲、怎么少走弯路，我写过超级密码获取那一篇。拿到超管密码以后，也先别急着到处改，导一份conf备份再动，这是老规矩。

真不放心的话，记住一句就够：useradmin能改WiFi、看设备、重启，UPnP、端口映射、DMZ这些“开门”类设置，基本都要超管。你拿普通账号翻半小时没有，不是没找到，是压根没给你看。

开了UPnP还是NAT3，先别反复点保存，查这三处

老周那天就把“启用UPnP”点了不下十次，每点一次保存都以为下一秒能好。实际上该查的是后面三处，顺序我排成这样。

第一处，查拨号到底在谁手里。光猫还在拨号，你却只开路由器UPnP，就是只开了内层门。要么把光猫也开UPnP，要么直接改桥接把门统一交给路由器。不想动桥接的话，光猫开UPnP是动静最小的路子；想以后规则都归自己路由器管，再考虑光猫改桥接。

第二处，查WAN口IP是不是100.64开头。现在不少电信家宽已经躲到运营商大内网后面，光猫WAN口拿到100.64到100.127之间。这种地址不是公网门牌，外面的人压根找不到你，UPnP开得再认真也没用。我帮人查这个，从来都是让手机断开WiFi用流量搜“本机IP”，再进光猫看WAN口IP，两个对不上且WAN口是100.64段，先打10000号申请公网IP，别在UPnP上耗。

第三处，查主机IP是不是漂了。UPnP虽然会自动开，但有些固件做得糙，设备重连一次换了内网IP，旧映射还留在列表里指错人。给游戏机、NAS做静态绑定，或者路由器里把它钉死一个地址，能少一半灵异问题。

下载软件端口不变绿，也可能是UPnP没走对地方

有人不玩游戏，但下载软件里那个端口检测一直黄灯或者显示“未打开”。我自己的qBittorrent就闹过一回：路由器开了UPnP，软件日志写着端口映射成功，结果外面做种还是连不进来。后来把光猫也打开UPnP，那盏灯才从黄变绿。

道理跟游戏NAT3一模一样。BT下载要做种，别人得能主动连到你这个端口。你两层NAT，软件只能跟内层路由器申请，外层光猫不认，入站连接就断在外面。光猫路由模式下，想省事就先把光猫UPnP开起来；再不行，给下载机固定IP，按BT客户端显示的端口去光猫或路由器手动补一条端口转发，比反复折腾UPnP更稳。

手动补的步骤跟天翼网关端口映射那篇一样：外部端口别用80和443，尽量挑18080这类高位；协议不确定就TCP/UDP；内部IP填下载机的固定地址。光猫一层、路由器一层，两层要各配一条，规则多了容易乱，所以固定设备我建议手动，流动的UPnP交给软件自己开。

还有个小细节：端口显示“未打开”时，先关掉电脑防火墙再测一次，排除本机拦流量。别把所有锅都甩给光猫，我见过有人家里光猫桥接、路由器UPnP正常，结果Windows防火墙把BT拦得死死的，绕了半天才发现。

UPnP和DMZ别同时开，门外只该有一个决定者

这句话我想单独拎出来说，因为问的人特别多。UPnP是软件按需开门，一次开几个指定端口；DMZ是把一台设备整机扔到“不设防”的位置，所有进不来的流量都转给它。两者的确都能让游戏联机、下载端口变绿，但门权不是一个级别。

同时开最大的毛病不是冲突到蓝屏，而是你会看不明白。光猫和路由器的映射列表里一会儿多一条UPnP，一会儿又有DMZ兜底，出了故障根本不知道是哪条规则在起作用。再往安全上说，DMZ意味着那台机器所有端口都对外敞着，老摄像头、旧NAS、改了弱密码的智能设备都不适合当DMZ主机。真正要固定开几个口，DMZ主机设置那篇有完整配法，前提还是你先确认家里有公网IP。

我给普通家庭的建议很直白：游戏主机、下载软件先开UPnP，够用就停；只有少数固定服务需要长期对外，再走手动端口转发；DMZ是排在最末位的手段，而且只指向一台你完全信得过的设备，别和UPnP叠着用。

收尾顺序：对号入座，两分钟就能判断今天该进哪个后台

事情不大，但方向错了很费时间。我把它压成一张表，照着点两下就清楚。

顺序就一句：先看光猫拨号还是桥接，再看WAN口IP，然后才轮到UPnP开关。老周家到这一步，就是光猫开了一下UPnP，PS5重连后从NAT3掉到NAT2，那晚他玩游戏时喊得整栋楼都能听见。其实多数网络问题都这样，不是开关没开，是开错了门。把门认对，后面那几步谁都会点。